TP: Instalar Kibana y explorar logs con KQL

Lo que vas a aprender en este TP

• Instalar la stack en local
• Cargar un conjunto de datos
• Escribir consultas KQL

Introducción #

Lo que vas a aprender en esta sección

• Instalar la stack en local
• Cargar un conjunto de datos
• Escribir consultas KQL

Contexto. Te incorporas a un equipo que usa la suite Elastic. Antes de trabajar con los logs reales, aprendes a buscar de forma eficaz en un conjunto de datos de ejemplo.

Requisitos previos: Docker, 4 GB de RAM libres  ·  Duración estimada: 35 min

Buscar de forma eficaz en los logs.

Puesta en marcha #

Pasos guiados, con su corrección.

1. 1. Lanzar la stack

   ¿Por qué? El script oficial configura la seguridad y una licencia de prueba: todas las funciones están disponibles para los TP.

   Ejecuta start-local y recupera la contraseña del usuario elastic.

2. 2. Cargar los datos de ejemplo

   ¿Por qué? El conjunto «web logs» contiene logs de acceso realistas de varias semanas, con una data view y un dashboard.

   Instálalo mediante la API (o desde la página de inicio de Kibana).

3. 3. Descubrir los campos

   ¿Por qué? Conocer los campos disponibles es el requisito previo de cualquier consulta.

   Abre Discover sobre la data view Kibana Sample Data Logs (últimos 7 días). ¿Cuáles son los 5 países de origen (geo.src) más frecuentes?

4. 4. Consultas KQL

   ¿Por qué? Cada consulta responde a una pregunta operativa concreta.

   Encuentra: (1) las respuestas 503, (2) las peticiones de más de 10 000 bytes procedentes de China, (3) las descargas de archivos .zip salvo desde Windows.

5. 5. Guardar y compartir

   ¿Por qué? Una búsqueda guardada se convierte en un componente de dashboard.

   Guarda la búsqueda de las respuestas 503 con el nombre «Errores 503» y las columnas host, request y clientip.

Nivel de dificultad : ●●○○○ (2/5)